验证Azure ad访问令牌时签名无效

Question

我在使用jwt.io验证我的azure广告访问令牌时获得无效签名（在手动检查后将转移到scala代码）。

我正在使用 curl 生成访问令牌：

curl -s -X POST https://login.microsoftonline.com/<tenant id>/oauth2/token -d grant_type=password -d username=$username -d password=$pass  -d resource=$resID -d client_id=$id -d client_secret=$key

虽然它为我提供了访问令牌，但响应不包含“Id_token”。不知道为什么。

我正在使用 BEGIN 和 END 证书包装 https://login.microsoftonline.com/common/discovery/keys 中的公钥。（如 https://nicksnettravels.builttoroam.com/post/2017/01/24/Verifying-Azure-Active-Directory-JWT-Tokens.aspx 所述）

我不确定还缺少什么。

解码后的报头如下:

{
  "typ": "JWT",
  "alg": "RS256",
  "x5t": "9FXDpbfMFT2SvQuXh846YTwEIBw",
  "kid": "9FXDpbfMFT2SvQuXh846YTwEIBw"
}

Answer 1

警告：您正在调用不受支持的流，并且将在不久的将来被删除。

Azure AD中不支持具有机密客户端的资源所有者密码凭据授予流（Grant_type=Password）（即web应用程序/web API，其中存在client_secret）。如果您确信您的场景需要Resource Owner流（实际上很少有场景能够保证此流带来的风险），那么您应该使用为本地客户端应用程序（公共客户端）注册的client_id来调用它。或者，您应该调用交互式登录（如果您正在登录实际的人类用户），或者执行客户端凭据授予流（如果这是守护程序/无人值守服务）。

您不会获得ID令牌，因为您调用的流(OAuth 2.0资源所有者密码凭证授权流)没有定义ID令牌的任何概念，也没有定义< code>id_token响应。换句话说:你没有要求过。

如果您将scope=openid添加到您的授权请求中，您将向Azure AD暗示您或多或少有兴趣了解有关登录者的信息，并且您将在响应中获得未签名的openid Connect ID令牌。

要 https://jwt.io 验证声明，请执行以下操作：

1. 确保这是适合您的令牌。（即，不要期望能够解码和验证不适合您的令牌（其中“您”是授权请求中的资源，令牌声明中的 aud）。
2. 确保选择了正确的签名算法 （RS256）。
3. 确保检查用于对令牌进行签名的密钥（使用 JWT 中的 kid 标头值作为提示）。
4. 确保证书以-----END CERTIFICATE-----结尾（我发现 jwt.io 不太关心它是如何开始的。
5. 仔细检查您的复制粘贴，很容易意外拾取多余的字符。